【手続補正書】
【提出日】平成18年2月20日(2006.2.20)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
攻撃防御システムの攻撃検知装置において、
プロセスの実行において、少なくともネットワーク入出力、ファイル入出力、および、プロセス生滅に係るイベントを記憶するイベント記憶手段と、
前記イベント記憶手段に記憶されたイベント間の因果関係を分析して、リンク付けを行うイベント管理手段と、
を有することを特徴とする攻撃検知装置。
【請求項２】
攻撃防御システムの攻撃検知装置において、
所定のルールにしたがって、プロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする攻撃検知装置。
【請求項３】
さらに、
所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知する攻撃検知手段と、
を有することを特徴とする請求項１に記載の攻撃検知装置。
【請求項４】
前記攻撃検知手段は、前記ルールを判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントと、を抽出することを特徴とする請求項３に記載の攻撃検知装置。
【請求項５】
前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項２〜４のいずれか一項に記載の攻撃検知装置。
【請求項６】
攻撃防御システムの攻撃検知方法において、
プロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを記憶し、
イベント間の因果関係を分析してリンク付けを行う、
ことを特徴とする攻撃検知方法。
【請求項７】
攻撃防御システムの攻撃検知方法において、
プロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを抽出し、
当該イベントと、所定のルールと、を照合する、ことを特徴とする攻撃検知方法。
【請求項８】
さらに、前記イベントと所定のルールとを照合することを特徴とする請求項６記載の攻撃検知方法。
【請求項９】
所定のルールを判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントとを抽出することを特徴とする請求項８に記載の攻撃検知方法。
【請求項１０】
前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項７〜９のいずれか一項に記載の攻撃検知方法。
【請求項１１】
コンピュータに、攻撃防御システムの攻撃検知を実行させるためのプログラムにおいて、
プロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを記憶し、
イベント間の因果関係を分析してリンク付けを行う、
ステップを有することを特徴とする攻撃検知プログラム。
【請求項１２】
コンピュータに、攻撃防御システムの攻撃検知を実行させるためのプログラムにおいて、
プロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを抽出し、
当該イベントと、所定のルールと、を照合する、
ステップを有することを特徴とする攻撃検知プログラム。
【請求項１３】
コンピュータに、攻撃防御システムの攻撃検知を実行させるためのプログラムにおいて、
プロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを記憶し、
イベント間の因果関係を分析してリンク付けし、
前記イベントと、所定のルールと、を照合する、
ステップを有することを特徴とする攻撃検知プログラム。
【請求項１４】
所定のルールを判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントとを抽出するステップを有することを特徴とする請求項１３に記載の攻撃検知プログラム。
【請求項１５】
前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項１２〜１４のいずれか一項に記載の攻撃検知プログラム。
【請求項１６】
内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおいて、
ファイアウォール装置と、
前記内部ネットワークおよび前記外部ネットワークの少なくとも一方に設けられた少なくとも１つの攻撃検知システムと、
を有し、
前記ファイアウォール装置は、前記少なくとも１つの攻撃検知システムから攻撃検知アラートを受信し、少なくとも攻撃元ＩＰアドレスおよび攻撃先ＩＰアドレスを含むアラートに変換するアラート変換手段を有することを特徴とする攻撃防御システム。
【請求項１７】
内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおいて、
ファイアウォール装置と、
おとり装置と、
少なくとも１つの信頼性管理サーバと、
を有し、
前記ファイアウォール装置は入力ＩＰパケットもしくはその一部のデータを含む要求メッセージを前記信頼性管理サーバへ送信し、
前記信頼性管理サーバは、前記要求メッセージに応じて、当該要求メッセージに含まれるデータから前記入力ＩＰパケットに対する信頼度を生成し、前記信頼度を少なくとも含む応答メッセージを前記ファイアウォール装置へ返信する、
ことを特徴とする攻撃防御システム。
【請求項１８】
内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムにおける攻撃防御方法において、
前記内部ネットワークおよび前記外部ネットワークの少なくとも一方に少なくとも１つの攻撃検知システムを用意し、
前記少なくとも１つの攻撃検知システムから攻撃検知アラートを受信すると、少なくとも攻撃元ＩＰアドレスおよび攻撃先ＩＰアドレスを含むアラートに変換する、
ことを特徴とする攻撃防御方法。
【請求項１９】
内部ネットワークと外部ネットワークとの境界に設置され、ファイアウォール装置と、
おとり装置と、少なくとも１つの信頼性管理サーバと、を有する攻撃防御システムにおけ
る攻撃防御方法において、
前記ファイアウォール装置は入力ＩＰパケットもしくはその一部のデータを含む要求メ
ッセージを前記信頼性管理サーバへ送信し、
前記信頼性管理サーバは、前記要求メッセージに応じて、当該要求メッセージに含まれ
るデータから前記入力ＩＰパケットに対する信頼度を生成し、前記信頼度を少なくとも含
む応答メッセージを前記ファイアウォール装置へ返信する、
ステップを有することを特徴とする攻撃防御方法。
【請求項２０】
コンピュータに、内部ネットワークと外部ネットワークとの境界に設置された攻撃防御システムを実装するためのプログラムにおいて、
前記内部ネットワークおよび前記外部ネットワークの少なくとも一方に設けられた少なくとも１つの攻撃検知システムから攻撃検知アラートを受信し、
前記受信した攻撃検知アラートを少なくとも攻撃元ＩＰアドレスおよび攻撃先ＩＰアドレスを含むアラートに変換する、
ステップを有することを特徴とする攻撃防御プログラム。
【請求項２１】
内部ネットワークと外部ネットワークとの境界に設置され、ファイアウォール装置と、おとり装置と、少なくとも１つの信頼性管理サーバと、を有する攻撃防御システムにおける前記信頼性管理サーバをコンピュータに実装するためのプログラムにおいて、
前記ファイアウォール装置から入力ＩＰパケットもしくはその一部のデータを含む要求メッセージを受信し、
前記要求メッセージに応じて、当該要求メッセージに含まれるデータから前記入力ＩＰパケットに対する信頼度を生成し、
前記信頼度を少なくとも含む応答メッセージを前記ファイアウォール装置へ返信する、
ステップを有することを特徴とする攻撃防御プログラム。
【請求項２２】
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、に係るイベントを記憶するイベント記憶手段と、
イベント間の因果関係を分析してリンク付けを行うイベント管理手段と、を有することを特徴としたアクセス履歴記録装置。
【請求項２３】
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、さらにネットワーク入出力に係るイベントを記憶するイベント記憶手段と、
イベント間の因果関係を分析してリンク付けを行うイベント管理手段と、を有することを特徴としたアクセス履歴記録装置。
【請求項２４】
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、に係るイベントを記憶するイベント記憶ステップと、
イベント間の因果関係を分析してリンク付けを行うイベント管理ステップと、からなることを特徴としたアクセス履歴記録方法。
【請求項２５】
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、さらにネットワーク入出力に係るイベントを記憶するイベント記憶ステップと、
イベント間の因果関係を分析してリンク付けを行うイベント管理ステップと、からなることを特徴としたアクセス履歴記録方法。
【請求項２６】
コンピュータに、
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、に係るイベントを記憶するイベント記憶ステップと、
イベント間の因果関係を分析してリンク付けを行うイベント管理ステップと、を実行させることを特徴としたアクセス履歴記録プログラム。
【請求項２７】
コンピュータに、
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、さらにネットワーク入出力に係るイベントを記憶するイベント記憶ステップと、
イベント間の因果関係を分析してリンク付けを行うイベント管理ステップと、を実行させることを特徴としたアクセス履歴記録プログラム。
【請求項２８】
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、に係るイベントを記憶するイベント記憶手段と、
イベント間の因果関係を分析してリンク付けを行うイベント管理手段と、
所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知する攻撃検知手段と、
検知された攻撃に基づきアクセスを制限するプロセッサと、
を有することを特徴としたアクセス制御装置。
【請求項２９】
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、さらにネットワーク入出力に係るイベントを記憶するイベント記憶手段と、イベント間の因果関係を分析してリンク付けを行うイベント管理手段と、所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知する攻撃検知手段と、
検知された攻撃に基づきアクセスを制限するプロセッサと、
を有することを特徴としたアクセス制御装置。
【請求項３０】
前記攻撃検知手段は、前記ルールを判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントと、を抽出することを特徴とする請求項２８または２９に記載のアクセス制御装置。
【請求項３１】
前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項２８〜３０のいずれか一項に記載のアクセス制御装置。
【請求項３２】
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、に係るイベントを記憶し、
イベント間の因果関係を分析してリンク付けを行い、
さらに所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知したときにアクセスを制限する、
ことを特徴としたアクセス制御方法。
【請求項３３】
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、さらにネットワーク入出力に係るイベントを記憶し、
イベント間の因果関係を分析してリンク付けを行い、さらに所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知したときにアクセスを制限する、
ことを特徴としたアクセス制御方法。
【請求項３４】
所定のルールを判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントとを抽出することを特徴とする請求項３２または３３に記載のアクセス制御方法。
【請求項３５】
前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項３２〜３４のいずれか一項に記載のアクセス制御方法。
【請求項３６】
コンピュータに、
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、に係るイベントを記憶するステップと、
イベント間の因果関係を分析してリンク付けを行うステップと、
さらに所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知したときにアクセスを制限するステップと、
を実行させることを特徴としたアクセス制御プログラム。
【請求項３７】
コンピュータに、
プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、さらにネットワーク入出力に係るイベントを記憶するステップと、
イベント間の因果関係を分析してリンク付けを行い、さらに所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知したときにアクセスを制限するステップと、
を実行させることを特徴としたアクセス制御プログラム。
【請求項３８】
所定のルールを判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントとを抽出することを特徴とする請求項３６または３７に記載のアクセス制御プログラム。
【請求項３９】
前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したことを特徴とする請求項３６〜３８のいずれか一項に記載のアクセス制御プログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００２０
【補正方法】変更
【補正の内容】
【００２０】
本発明による攻撃防御システムの攻撃検知装置は、プロセスの実行において、少なくともネットワーク入出力、ファイル入出力、および、プロセス生滅に係るイベントを記憶するイベント記憶手段と、前記イベント記憶手段に記憶されたイベント間の因果関係を分析して、リンク付けを行うイベント管理手段と、を有することを特徴とする。さらに、ドメイン制約およびタイプ制約の少なくとも一方を付加したルールにしたがって、前記サービスプロセスの実行状況から攻撃を検知する攻撃検知手段と、を有することが望ましい。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００２１
【補正方法】変更
【補正の内容】
【００２１】
本発明による攻撃防御システムの攻撃検知装置は、所定のルールにしたがって、プロセスの実行状況から攻撃を検知する攻撃検知手段を有することを特徴とする。前記攻撃検知手段は、前記ルールを判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントと、を抽出することが望ましい。前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したものであることが望ましい。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００２２
【補正方法】変更
【補正の内容】
【００２２】
本発明による攻撃防御システムの攻撃検知方法は、プロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを記憶し、イベント間の因果関係を分析してリンク付けを行うことを特徴とする。さらに、前記イベントとドメイン制約またはタイプ制約を付加したルールとを照合することができる。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００２３
【補正方法】変更
【補正の内容】
【００２３】
本発明による攻撃防御システムの攻撃検知方法は、プロセスを実行させながら、少なくともネットワーク入出力と、ファイル入出力と、プロセス生滅と、に係るイベントを抽出し、当該イベントと、所定のルールと、を照合する、ことを特徴とする。所定のルールを判定するにあたり、前記リンクを走査して、少なくとも、検査対象であるイベントの発生源となったプロセスの生成イベントと、イベントの発生原因となったネットワーク受信イベントとを抽出することが望ましい。前記ルールは、ネットワークドメインを含むアクセス元に関する制約と、アクセスを処理するプロセスまたはその系列に関する制約と、を記述したものであることが可能である。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００２７
【補正方法】変更
【補正の内容】
【００２７】
本発明による攻撃防御方法は、内部ネットワークと外部ネットワークとの境界に設置され、ファイアウォール装置と、おとり装置と、少なくとも１つの信頼性管理サーバと、を有する攻撃防御システムにおいて、前記ファイアウォール装置は入力ＩＰパケットもしくはその一部のデータを含む要求メッセージを前記信頼性管理サーバへ送信し、前記信頼性管理サーバは、前記要求メッセージに応じて、当該要求メッセージに含まれるデータから前記入力ＩＰパケットに対する信頼度を生成し、前記信頼度を少なくとも含む応答メッセージを前記ファイアウォール装置へ返信する、ステップを有することを特徴とする。
また、本発明によるアクセス履歴記録装置は、プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、に係るイベントを記憶するイベント記憶手段と、イベント間の因果関係を分析してリンク付けを行うイベント管理手段と、を有することを特徴とする。あるいは、プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、さらにネットワーク入出力に係るイベントを記憶するイベント記憶手段と、イベント間の因果関係を分析してリンク付けを行うイベント管理手段と、を有することを特徴とする。
さらに、本発明によるアクセス制御装置は、プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、に係るイベントを記憶するイベント記憶手段と、イベント間の因果関係を分析してリンク付けを行うイベント管理手段と、所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知する攻撃検知手段と、検知された攻撃に基づきアクセスを制限するプロセッサと、を有することを特徴とする。あるいは、プロセスを実行させながら、少なくともファイル入出力と、プロセス生滅と、さらにネットワーク入出力に係るイベントを記憶するイベント記憶手段と、イベント間の因果関係を分析してリンク付けを行うイベント管理手段と、所定のルールにしたがって、前記プロセスの実行状況から攻撃を検知する攻撃検知手段と、検知された攻撃に基づきアクセスを制限するプロセッサと、を有することを特徴とする。